Si diriges un colegio en Chile, desde el 1 de diciembre de 2026 te rige la Ley 21.719. La ley reescribe la antigua Ley 19.628 (por eso los artículos se citan como “art. 14 sexies” de la Ley 19.628 en su texto nuevo), crea la Agencia de Protección de Datos Personales y fija obligaciones y multas nuevas. Los colegios tratan a diario datos de niños, niñas y adolescentes, y muchos de esos datos son sensibles.
Este artículo no es asesoría legal. Está para que sepas, en pocos minutos, qué exige la ley, qué no exige y qué conviene hacer ahora. Actualizado al 5 de octubre de 2026.
Estado de la ley: la fecha de vigencia es el 1 de diciembre de 2026 (art. primero transitorio). Hay un proyecto para postergarla un año (Boletín 18.623-07) que al 5 de octubre de 2026 no ha sido votado. Mientras no se apruebe, la fecha que obliga es diciembre de 2026.
Seis cosas que la ley sí exige a un colegio
1. Una base legal para cada uso de datos (no siempre es el consentimiento)
El consentimiento es solo una de las bases que permiten tratar datos. La matrícula, el registro académico y lo que pide la normativa educacional normalmente se apoyan en el contrato o en una obligación legal, sin pedir consentimiento (art. 13). El consentimiento se necesita para lo opcional: fotos en redes, difusión, usos que no son necesarios para educar.
Ojo con un error frecuente: pedir consentimiento para algo que no lo requiere, dentro de un contrato, hace presumir que ese consentimiento no fue libre (art. 12). Cuando sí corresponde, debe ser libre, informado, específico, previo e inequívoco, y revocable por medios gratuitos.
2. El titular es el estudiante
El titular de los datos es el estudiante, no el apoderado. Lo que cambia con la edad es quién consiente (art. 16 quáter):
- Menores de 14 años: consienten sus padres, representantes legales o quien tenga su cuidado personal.
- De 14 a 17 años: consienten como adultos, salvo los datos sensibles de menores de 16, donde consienten los padres o representantes.
Todo tratamiento debe atender al interés superior del niño y a su autonomía progresiva. Además, la ley impone a los establecimientos educacionales una obligación especial de velar por la protección de los datos de sus estudiantes (art. 16 quáter, inciso final).
3. Los derechos del titular y sus plazos
Los derechos son acceso, rectificación, supresión, oposición, portabilidad y bloqueo (art. 4), más el derecho a no ser objeto de decisiones automatizadas que lo afecten significativamente (art. 8 bis). El colegio tiene 30 días corridos para responder, prorrogables una vez por 30 más (art. 11). No responder a tiempo es infracción leve; obstaculizar el ejercicio de un derecho es grave.
4. Brechas de seguridad: sin demora, no “en 72 horas”
La ley chilena no fija un plazo de 72 horas (ese plazo es del reglamento europeo). Exige reportar a la Agencia “por los medios más expeditos posibles y sin dilaciones indebidas” cuando la brecha signifique un riesgo razonable para los titulares (art. 14 sexies).
Avisar a los afectados es obligatorio si la brecha compromete datos sensibles, datos de niños y niñas menores de 14 años o datos financieros. En el caso de los niños, el aviso va a través de sus representantes y en lenguaje claro.
5. Una política de tratamiento publicada
El colegio debe publicar, de forma permanente y accesible, información sobre qué datos trata, para qué, con qué base legal, a quién los comunica, por cuánto tiempo los conserva y cómo ejercer los derechos (art. 14 ter). Es de las obligaciones más fáciles de fiscalizar: no tenerla es infracción leve.
6. Contratos con las plataformas
Cuando una plataforma trata datos por encargo del colegio (gestión de notas, comunicaciones, correo institucional), la ley exige un contrato con contenido mínimo: objeto, duración, finalidad, tipo de datos, categorías de titulares, obligaciones de seguridad, prohibición de subcontratar sin autorización escrita y devolución o supresión de los datos al terminar (art. 15 bis). En ese caso, los derechos se ejercen ante el colegio, que es el responsable.
Lo que la ley no exige (aunque conviene)
- Delegado de protección de datos: es voluntario. La ley dice que el responsable “podrá designar” un delegado (art. 50). Pasa a ser obligatorio solo si el colegio adopta un modelo de prevención de infracciones, que también es voluntario (art. 49). Un modelo certificado cuenta como atenuante si hay una infracción (art. 36).
- “Registro de actividades de tratamiento”: la ley no lo establece como obligación general. Igual es la forma práctica de cumplir dos deberes que sí existen: acreditar la licitud de cada tratamiento y publicar información completa.
- Consentimiento “por escrito” para datos sensibles: el consentimiento debe ser expreso, pero puede darse por escrito, de forma verbal o por un medio tecnológico equivalente (art. 16).
Datos de salud en el colegio: la regla que más importa
El art. 16 bis prohíbe tratar datos de salud recolectados en el ámbito educativo, salvo que una ley lo autorice expresamente en casos calificados. Esto toca de lleno a certificados médicos, alergias, informes del PIE y evaluaciones psicológicas. Cómo se articula con la normativa del PIE (Decreto 170) es un punto a revisar con asesoría legal.
Categorías de datos de un colegio típico
| Categoría | ¿Sensible? | Base habitual |
|---|---|---|
| Identificación y matrícula (RUT, nombre, dirección) | No | Contrato u obligación legal |
| Académicos (notas, asistencia, observaciones) | No | Obligación legal y contrato |
| Salud (certificados, alergias, PIE) | Sí | Restringido por el art. 16 bis |
| Psicológicos (informes psicopedagógicos) | Sí | Consentimiento expreso o ley habilitante |
| Situación socioeconómica (becas, prioritarios) | Sí | Ley habilitante o consentimiento expreso |
| Imagen (fotos, videos) | No, salvo reconocimiento facial (biométrico) | Consentimiento para usos opcionales |
Las multas
Para el sector privado (art. 35):
| Tipo de infracción | Multa máxima |
|---|---|
| Leve | 5.000 UTM o amonestación |
| Grave | 10.000 UTM |
| Gravísima | 20.000 UTM (unos $1.443 millones con la UTM de octubre de 2026) |
La reincidencia puede triplicar la multa. Tratar datos de niños, niñas y adolescentes infringiendo la ley es infracción grave, y gravísima si se hace a sabiendas (arts. 34 ter y 34 quáter). Los colegios públicos tienen otro régimen, donde la sanción recae en el jefe superior del servicio (art. 44).
Qué hacer en las semanas que quedan
- Inventario de datos: qué datos tiene el colegio, de quién, para qué, dónde están y con qué base legal.
- Revisar los documentos de matrícula 2027: separar lo necesario de lo opcional y pedir consentimiento solo para lo opcional.
- Publicar la política de tratamiento.
- Procedimiento para responder solicitudes de derechos en 30 días.
- Protocolo de brechas: quién decide, cómo se reporta a la Agencia y cuándo se avisa a las familias.
- Contratos con plataformas que cumplan el art. 15 bis.
- Política de retención: cuánto se guarda cada tipo de dato y cuándo se suprime.
Cómo se posiciona Yumo
Cuando un apoderado crea una cuenta en Yumo, Yumo es responsable de esos datos. Estamos adecuando Yumo a la Ley 21.719, que rige desde el 1 de diciembre de 2026: el colegio no recibe datos salvo los que el apoderado decide compartir. Si tu colegio quiere usar Yumo, escríbenos a hola@yumo.cl.
Y si te interesa cómo encaja un diagnóstico formativo en la gestión pedagógica, revisa Diagnóstico por curso, SIMCE y PAES: tres cosas distintas.
Este artículo es informativo y no constituye asesoría legal. Refleja el texto de la Ley 19.628 modificada por la Ley 21.719, publicado por la Biblioteca del Congreso Nacional (bcn.cl/leychile), revisado al 5 de octubre de 2026. Para casos específicos, consulta a un abogado especialista en protección de datos.
Escrito por · Editorial
Editorial Yumo
Notas escritas por el equipo editorial de Yumo, revisadas contra fuentes oficiales (MINEDUC, Ley 21.719) y validadores con RUT verificable.
Si te quedó la duda
Yumo es gratis hoy mientras se construye el banco.
15 minutos de juego, un reporte por mail, sin tarjeta. Si no te sirve, borras la cuenta y se va todo.
Yumo no es un instrumento clínico. La información de este artículo es educativa y no reemplaza la opinión de un profesional habilitado. Las decisiones diagnósticas son responsabilidad del psicólogo, profesor o equipo PIE habilitado.
Seguir leyendo · misma audiencia